FalconEye: Windowsプロセスインジェクション向けリアルタイム検出ソフトウェア

FalconEyeは、Windowsエンドポイント向けのリアルタイムプロセスインジェクション検出ソフトウェアです。これはカーネルモードドライバであり、プロセスインジェクションをリアルタイムで捕捉することを目的としています。FalconEyeはカーネルモードで動作するため、ユーザーモードのフックを回避しようとするプロセスインジェクション技術に対して、より強力で信頼性の高い防御を提供します。

プレゼンテーションは2021 Blackhat ASIA Arsenalとスライドでご確認いただけます。

プロジェクト概要

検出カバレッジ

以下の表は、さまざまなプロセスインジェクション技術に対する実装状況と検出ロジックを示しています。WPMはWriteProcessMemoryの略です。検出をテストするには、参考文献セクションを参照してください。

手法	ステータス	検出方法	使用したPOC
Atombombing	✓	QueueUserAPCをフックし、GlobalGetAtom系関数を監視する	Pinjectra
Instrumentation callback injection	✓	浮動コードから新しいスレッドが作成された場合に検出	https://github.com/antonioCoco/Mapping-Injection
Reflective DLL Injection	✓	浮動コードから新しいスレッドが作成されたか、PEヘッダが被害プロセスに書き込まれているかを検出	MInjector
PROPagate	✓	SetPropをフックして書き込まれているプロパティのアドレスを取得し、以前のWPM呼び出しと関連付けて浮動コードのアドレスを検出	Pinjectra
Process Hollowing	✓	ターゲットプロセスメモリに書き込まれたPEヘッダを使用して検出	MInjector
CreateRemoteThread with LoadLibrary	✓	開始アドレスがLoadLibraryを指す新しいスレッド。MInjector版ではWPMを使用してDLLパスも書き込まれ、これも検出	MInjector, Pinjectra
CreateRemoteThread with MapViewOfFile	✓	浮動コードから新しいスレッドが作成された場合に検出	Pinjectra
Suspend-Inject-Resume	✓	浮動コードから新しいスレッドが作成されたか（MInjector）、WPM経由でDLLパスが書き込まれているか（MInjector）、以前に中断されたスレッドにコンテキストが設定された場合に検出（Pinjectra）	MInjector, Pinjectra
QueueUserAPC	✓	WPM経由でDLLパスが書き込まれている	MInjector
QueueUserAPC with memset (Stackbombing)	✓	QueueUserAPCをフックし、memsetを監視	Pinjectra
SetWindowLong (Extra window memory injection)	✓	SetWindowLongをフックして書き込まれる関数ポインタのアドレスを取得し、以前のWPM呼び出しと関連付けて浮動コードのアドレスを検出	Pinjectra
Unmap + Overwrite	✓	攻撃者プロセスが被害プロセスからntdllをアンマップした場合に警告	Pinjectra
Kernel Ctrl Table	✓	WPMが被害プロセスのPEB内のKernelCallbackTableフィールドを上書きしているか検出	https://github.com/odzhan/injection/blob/master/kct
USERDATA	✓	WPMターゲットアドレスがconhost.exeの範囲内か確認。該当する場合、conhostからの関連する関数ポインタが以前に保存されたWPMアドレスと一致するか確認	https://github.com/odzhan/injection/blob/master/conhost
Ctrl-inject	✓	攻撃者が被害プロセスのKernelBase.dll範囲でWPMを実行した場合に検出	Pinjectra
ALPC Callback	✓

アーキテクチャ概要

alt text

ドライバはオンデマンドロードドライバです
初期化には、libinfinityhookを介したコールバックとシステムコールフックの設定が含まれます
コールバックは、OpenProcessなどのプロセス間アクティビティから構築されたPIDのマップを保持しますが、OpenProcessに限定されません
後続のコールバックとシステムコールフックはこのPIDマップを使用して、処理のノイズを低減します。ノイズ低減の一環として、システムコールフックは同一プロセス内のアクティビティをフィルタリングします。
検出ロジックは、ステートレス（例：Atombombing）、ステートフル（Unmap+Overwrite）、浮動コード（複数の手法のシェルコード）のサブカテゴリに分けられています。
ステートフル検出の場合、システムコールフックは循環バッファとして実装されたActionHistoryを記録します。例えば、呼び出し元プロセスがターゲットプロセスと異なるすべてのNtWriteVirtualMemory呼び出しを記録します。
検出ロジックには、浮動コード検出やリモートプロセスでのシェルコードトリガー検出などの共通異常検出機能があります。コールバックとシステムコールフックの両方が、実際の検出のためにこの共通機能を呼び出します。

注：私たちの焦点は検出であり、パフォーマンスの高い検出エンジンの作成ではありません。BlackHat発表後もこれらの取り組みを継続します。

ファイル

.
├── src 
│   ├── FalconEye ---------------------------# FalconEye user and kernel space
│   └── libinfinityhook ---------------------# Kernel hook implementation
├── 2021BHASIA_FalconEye.pdf
└── README.md

はじめに

前提条件

Windows 10 Build 1903/1909
Microsoft Visual Studio 2019以降
VmWare、Hyper-Vなどの仮想化ソフトウェア（オプション）

インストール

ビルド

Visual Studio 2019でソリューションを開く
ビルドプラットフォームとしてx64を選択
ソリューションをビルドします。これにより、src\kernel\FalconEye\x64\Debug または src\kernel\FalconEye\x64\Release の下に FalconEye.sys バイナリが生成されます。